Wijzigingen in SCaptcha 2.3.2
Uitgebracht op 14 oktober 2026.
SCaptcha 2.3.2
Uitgebracht op 14 oktober 2026
Correcties
- SCaptcha levert nu het lettertype voor visuele verificatiecodes mee. Dit verhelpt weergaveproblemen op servers waar geen geschikt lettertype beschikbaar was.
- De indeling van het CAPTCHA-veld is aangepast aan het omringende WoltLab-formulier.
SCaptcha 2.3.1
Uitgebracht op 2 oktober 2026
Import van servers voor wegwerpmail
- MX-hostnamen voor wegwerpmail mogen nu de DNS-limiet van 253 bytes gebruiken. Lange, geldige mailservernamen mislukken niet meer door een te korte databasekolom.
- SCaptcha verwijdert witruimte rond geïmporteerde MX-items, zet ze om naar kleine letters, verwijdert dubbele items en slaat ongeldige hostnamen over.
- Als de bronlijst leeg is of geen bruikbare hostnamen bevat, behoudt SCaptcha de vorige geldige lijst.
- Bij een update vanaf een eerdere SCaptcha 2-versie wordt de hostnaamkolom automatisch aangepast.
SCaptcha 2.3.0
Uitgebracht op 8 september 2026
Nieuwe challenges en beperkte hergebruik
- Elke Proof-of-Work-challenge gebruikt een onafhankelijk, cryptografisch willekeurig salt van 32 bytes. Salt, hash, algoritme, oplossing en HMAC worden in de uitgevende WoltLab-sessie gevalideerd; de challenge verloopt na 60 seconden en werkt niet in een andere sessie.
- Challenges uit 2.2.x die vlak voor de update zijn uitgegeven, blijven alleen geldig tot hun normale afloop. De eenmalige, padgebonden marker vóór verzending en tekst-/audiobewijzen verlopen na 300 seconden.
- Formulierhergebruik, de Under-Attack-cookie en Sentinels weigeringscookie blijven gescheiden. Under-Attack duurt 300–1.800 seconden (standaard 600), Sentinel 600 seconden.
Proxygegevens, cache en providerlogs
- De proxycheck.io v3-normalisatie bewaart risico, confidence, times_seen, observatiedata, detectie-/delistingstatus, netwerktype en providerstatus. Ontbrekende of ongeldige metadata geldt niet als schoon resultaat.
- Sentinel vereist een positief aantal, minstens 50% confidence en bruikbare recente observaties. Delisted, verouderde, lege of zwakke resultaten worden genegeerd.
- Succes blijft 3.600 seconden in cache, volatiele of delisted resultaten 900. Fouten blijven 120–900 seconden; er zijn twee begrensde pogingen en rijen ouder dan 24 uur worden verwijderd.
- SCaptcha stuurt standaard tag=0. De beheerder kan logs van positieve detecties inschakelen; het IP-adres wordt hoe dan ook verzonden en provideruitval is geen schoon resultaat.
Analyse en bewaartermijn
- Lokale verzoekanalyse blijft standaard aan en kan koppelbare operationele gegevens opslaan: tijd, resultaat, URI, IP, user-agent, browser/apparaat, netwerk, locatie, redenen, Sentinel-data en verzonden telemetrie.
- De termijn is standaard 90 dagen en instelbaar van 1 tot 3.650. Alleen rijen vóór de grens worden verwijderd. Uitschakelen stopt nieuwe verzameling, maar verwijdert geen bestaande rijen of exports.
Browsers en toegankelijkheid
- Gedragsscores en Sentinel blijven standaard uit; audio, WebGL, animation frame en canvas draaien alleen met hun eigen optie. Niet-beschikbare signalen blijven neutraal.
- Algemene Chromium/ANGLE-, Mesa- en llvmpipe-renderers zijn op zichzelf geen automatisering. Aanwijzerbeweging geldt alleen voor de muis en scrollen alleen voor scrollbare pagina’s; toetsenbord en touch simuleren geen muis.
Gedateerde externe context
- Op 8 september 2026 stonden EDPB-richtsnoeren 02/2026 over anonimisering nog open voor feedback tot 30 oktober 2026. Ze worden hier niet als definitieve wet of richtsnoer beschreven.
- Chrome 153 verscheen op 8 september 2026 en startte de aangekondigde stabiele cyclus van twee weken. Compatibiliteit moet bij elke release opnieuw worden gecontroleerd.